NỘI DUNG
Một lỗ hổng bảo mật nghiêm trọng trong LiteSpeed Web Server Enterprise có thể cho phép người dùng website với quyền hạn thấp trên máy chủ Shared Hosting vượt qua cơ chế cách ly giữa các tài khoản và có khả năng giành quyền truy cập Root trên toàn bộ máy chủ.
Thông tin này được cPanel cảnh báo ngày 14/09/2026, đồng thời khuyến nghị quản trị viên cập nhật LiteSpeed Web Server Enterprise lên phiên bản 6.3.7 càng sớm càng tốt.
LiteSpeed Enterprise bị ảnh hưởng phiên bản nào?
Theo thông báo từ cPanel, lỗ hổng ảnh hưởng đến các phiên bản:
- LiteSpeed Web Server Enterprise < 6.3.7
- Phiên bản khắc phục: 6.3.7
- LiteSpeed phát hành phiên bản 6.3.7 vào ngày 11/09/2026
Điểm đáng chú ý là lỗ hổng có thể ảnh hưởng trực tiếp đến mô hình Shared Hosting, nơi nhiều tài khoản khách hàng cùng sử dụng chung một máy chủ.
Trong môi trường này, nếu một tài khoản Hosting bị khai thác thành công, kẻ tấn công có thể tìm cách vượt qua cơ chế cách ly để truy cập hoặc thay đổi dữ liệu của các tài khoản khác, thậm chí ảnh hưởng đến toàn bộ hệ thống máy chủ.
Có thể vượt qua CageFS
Một trong những điểm đáng lo ngại nhất là cPanel cho biết lỗ hổng có thể bypass các cơ chế kiểm soát nhằm cô lập tài khoản Hosting, bao gồm CloudLinux CageFS.
CageFS là thành phần quan trọng của CloudLinux, được sử dụng để giới hạn phạm vi mà một tài khoản Hosting có thể nhìn thấy trên hệ thống.
Thông thường, mỗi tài khoản chỉ được phép hoạt động trong phạm vi được cấp quyền và không thể tùy ý truy cập:
- File của tài khoản khác.
- Các thư mục hệ thống nhạy cảm.
- File cấu hình của máy chủ.
- Dữ liệu hoặc tiến trình thuộc tài khoản khác.
- Các tài nguyên nằm ngoài phạm vi được cấp phép.
Nếu cơ chế này bị bypass, mức độ ảnh hưởng sẽ nghiêm trọng hơn rất nhiều so với một lỗ hổng thông thường trên website.
Chưa có thông tin chi tiết về cách khai thác
Tại thời điểm hiện tại, cPanel và LiteSpeed chưa công bố chi tiết kỹ thuật về cách lỗ hổng hoạt động.
Thông báo cũng chưa cung cấp:
- CVE ID.
- CVSS Score.
- PoC khai thác.
- Điều kiện khai thác cụ thể.
- IOC để kiểm tra máy chủ đã bị khai thác.
- Thông tin xác nhận lỗ hổng đang bị khai thác thực tế.
Thông báo phát hành LiteSpeed 6.3.7 chỉ mô tả chung là phiên bản này bao gồm các security improvements, bug fixes, and more.
Changelog của LiteSpeed hiện liệt kê một số thay đổi liên quan đến bảo mật nhưng không công khai cụ thể lỗ hổng privilege escalation này.
Do đó, quản trị viên không nên chờ đến khi có thêm thông tin về PoC hoặc CVE mới tiến hành cập nhật.
Khuyến nghị cập nhật LiteSpeed Web Server Enterprise 6.3.7
cPanel và LiteSpeed đều cung cấp cùng một lệnh để cập nhật thủ công lên phiên bản 6.3.7:
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7Quản trị viên máy chủ nên kiểm tra phiên bản LiteSpeed hiện tại trước khi thực hiện cập nhật.
Có thể kiểm tra nhanh bằng:
/usr/local/lsws/bin/lshttpd -vNếu đang sử dụng phiên bản 6.3.6 hoặc thấp hơn, nên ưu tiên cập nhật lên 6.3.7.
Lưu ý về Auto Update
LiteSpeed cho biết có thể sẽ có độ trễ trước khi phiên bản 6.3.7 được phân phối thông qua cơ chế Auto Update.
Vì vậy, đối với những máy chủ Shared Hosting quan trọng, không nên mặc định rằng hệ thống đã tự động nhận bản cập nhật.
Có thể chủ động kiểm tra và cập nhật thủ công bằng lệnh:
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7Lưu ý sau khi ép cập nhật phiên bản
Theo tài liệu cập nhật của LiteSpeed, khi chỉ định một phiên bản cụ thể bằng tham số -v, máy chủ sẽ không còn tiếp tục theo dõi Stable Update Tier theo cơ chế thông thường.
Sau khi cập nhật, quản trị viên có thể cho LiteSpeed tiếp tục theo dõi nhánh Stable bằng:
touch /usr/local/lsws/autoupdate/follow_stableDo đó, nếu thực hiện cập nhật thủ công trên hệ thống production, nên kiểm tra lại cơ chế Auto Update sau khi hoàn tất.
LiteSpeed 6.4.0 RC có bị ảnh hưởng?
Tại thời điểm kiểm tra ngày 15/09/2026, trang Download của LiteSpeed vẫn hiển thị 6.3.6 là bản Stable, đồng thời có bản 6.4.0 RC1 thuộc nhánh Release Candidate.
Tuy nhiên, cPanel chưa đưa ra thông tin rõ ràng về việc các bản Release Candidate 6.4.x có bị ảnh hưởng bởi lỗ hổng này hay không.
Vì vậy, đối với máy chủ production, không nên tự ý chuyển sang bản RC chỉ với mục đích khắc phục lỗ hổng nếu chưa có xác nhận chính thức từ LiteSpeed.
Phương án an toàn hơn là cập nhật lên 6.3.7, phiên bản đã được cPanel và LiteSpeed xác định là bản sửa lỗi.
Hiện chưa có Workaround chính thức
Một vấn đề đáng chú ý khác là cả cPanel và LiteSpeed hiện chưa đưa ra workaround cụ thể dành cho các máy chủ chưa thể cập nhật ngay lập tức.
Ngoài ra, chưa có hướng dẫn chính thức về các dấu hiệu hoặc IOC để quản trị viên kiểm tra xem máy chủ có từng bị khai thác hay chưa.
Điều này khiến việc xử lý sự cố trở nên khó khăn hơn nếu máy chủ đang chạy phiên bản dễ bị ảnh hưởng.
Trong trường hợp chưa thể cập nhật ngay, quản trị viên nên tăng cường giám sát:
- Process bất thường chạy với quyền
root. - File mới xuất hiện trong các thư mục hệ thống.
- Cron job bất thường.
- Thay đổi quyền hoặc ownership của file.
- Các tài khoản Hosting có dấu hiệu truy cập ngoài phạm vi thông thường.
- Log LiteSpeed, hệ điều hành và các thành phần bảo mật.
- Các thay đổi bất thường trên
/tmp,/var/tmp,/dev/shmvà thư mục của các tài khoản Hosting.
Lưu ý: Đây là các bước kiểm tra phòng thủ chung, không phải IOC chính thức do LiteSpeed/cPanel công bố cho lỗ hổng này.
Chỉ LiteSpeed Enterprise được đề cập
Thông báo hiện tại chỉ đề cập đến:
LiteSpeed Web Server Enterprise
cPanel không đề cập đến OpenLiteSpeed trong advisory này.
Tại thời điểm ngày 15/09/2026, chưa có thông tin về một bản cập nhật tương ứng dành cho OpenLiteSpeed liên quan đến lỗ hổng này.
Do đó, không nên mặc định rằng OpenLiteSpeed cũng bị ảnh hưởng nếu chưa có thông báo chính thức.
Đây không phải lần đầu LiteSpeed liên quan đến lỗi Root trên Shared Hosting
Đây là lần thứ ba kể từ tháng 05/2026 xuất hiện thông tin về lỗ hổng trong phần mềm LiteSpeed có khả năng dẫn đến việc một tài khoản Hosting giành được quyền Root trên máy chủ cPanel.
Trước đó, LiteSpeed đã công bố hai lỗ hổng nghiêm trọng trong LiteSpeed cPanel Plugin:
- CVE-2026-48172 – công bố tháng 05/2026.
- CVE-2026-54420 – công bố tháng 06/2026.
Điểm khác biệt lần này là lỗ hổng được đề cập trực tiếp trong LiteSpeed Web Server Enterprise, thay vì chỉ nằm trong plugin quản trị cPanel.
Hai lỗ hổng trước đó cũng được xác nhận là đã bị khai thác thực tế và sau đó được CISA đưa vào danh mục Known Exploited Vulnerabilities (KEV).
Quản trị viên máy chủ cần làm gì?
Nếu đang vận hành cPanel + CloudLinux + LiteSpeed Enterprise, đặc biệt là mô hình Shared Hosting, nên ưu tiên thực hiện các bước sau:
1. Kiểm tra phiên bản LiteSpeed
/usr/local/lsws/bin/lshttpd -v2. Nếu phiên bản < 6.3.7, cập nhật ngay
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.73. Kiểm tra lại dịch vụ sau cập nhật
/usr/local/lsws/bin/lshttpd -vĐồng thời kiểm tra trạng thái website, PHP, cPanel/WHM và các dịch vụ liên quan.
4. Kiểm tra cơ chế Auto Update
Nếu đã sử dụng phương thức ép phiên bản, cần kiểm tra lại việc LiteSpeed có tiếp tục theo dõi Stable Update Tier hay không.
Có thể sử dụng:
touch /usr/local/lsws/autoupdate/follow_stable5. Chủ động kiểm tra dấu hiệu bất thường
Do hiện chưa có IOC chính thức, quản trị viên nên rà soát log và các thay đổi bất thường trên máy chủ, đặc biệt nếu máy chủ chứa nhiều tài khoản Hosting.
Kết luận
Lỗ hổng LiteSpeed Enterprise lần này đặc biệt đáng chú ý đối với các hệ thống Shared Hosting, bởi mô hình này phụ thuộc rất nhiều vào cơ chế cách ly giữa các tài khoản.
Một website bị compromise vốn chỉ nên ảnh hưởng trong phạm vi tài khoản đó. Tuy nhiên, nếu một lỗ hổng ở tầng Web Server cho phép bypass cơ chế isolation/CageFS và leo thang lên Root, phạm vi ảnh hưởng có thể mở rộng từ một website sang toàn bộ máy chủ.
Hiện chưa có CVE, PoC hoặc IOC chính thức cho lỗ hổng này và cũng chưa có thông tin xác nhận việc khai thác ngoài thực tế.
Tuy nhiên, với các máy chủ đang sử dụng LiteSpeed Web Server Enterprise < 6.3.7, việc cập nhật lên 6.3.7 nên được ưu tiên thực hiện thay vì chờ thêm thông tin.
Lệnh cập nhật:
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7Khuyến nghị: Nếu đây là máy chủ Shared Hosting production, hãy lên kế hoạch cập nhật có kiểm soát, kiểm tra dịch vụ sau cập nhật và rà soát log nếu máy chủ từng chạy phiên bản bị ảnh hưởng trong thời gian dài.
Thông tin tham khảo
- cPanel – LiteSpeed Enterprise Security Advisory, 14/09/2026.
- LiteSpeed – LiteSpeed Web Server 6.3.7.
- LiteSpeed – Web Server Changelog.
- LiteSpeed – Update Documentation.
- CloudLinux – CageFS Documentation.
Với kinh nghiệm thực chiến từ việc tiếp xúc hàng ngày với vô vàn vấn đề về Website, Hosting, VPS, Server tại Phòng Kỹ thuật AZDIGI, mình luôn ấp ủ niềm đam mê chia sẻ kiến thức.
Mình xây dựng các blog không chỉ để tự trau dồi kỹ năng mà còn để cung cấp những tài liệu, hướng dẫn hữu ích nhất đến cộng đồng. Rất mong nhận được sự quan tâm của các bạn!
Để lại thông tin, mình sẽ phản hồi ngay.